Новости Популярность социальной сети Clubhouse в России спровоцировала рост мошенничеств

[Собака]

Резкий взлет популярности закрытой социальной сети Clubhouse на фоне слабого понимания российскими пользователями того, как она работает, уже стали причиной роста мошенничеств, говорят эксперты по кибербезопасности. На «Авито» и «Юле» появились в продаже приглашения на платформу, которые могут быть фальшивыми, а в магазине операционной системы Android — подделки под приложение Clubhouse. Последние могут стать источником вредоносного программного обеспечения и собирать информацию с устройства пользователя, предупреждают эксперты. Они опасаются, что Clubhouse может быть источником и более серьезных проблем, поставляя мошенникам аудиоматериал для создания речевых профилей.


В сервисах бесплатных объявлений «Авито» и «Юла» появились в продаже предложения с приглашениями в закрытую социальную сеть Clubhouse по цене от 200 до 10 тыс. руб., обнаружил “Ъ”. Такая активность может быть вызвана желанием обладателей приглашений заработать, но, скорее всего, в процесс включились мошенники, считает гендиректор Infosecurity a Softline Company Кирилл Солодовников:


Вас попросят перевести деньги в обмен на инвайт без гарантий получения приглашения».


В «Юле» подтверждают бурный рост поисковых запросов, связанных с Clubhouse, но обращений на мошенничества пока не фиксируют, сообщили в компании. В «Авито» решили запретить продажу приглашений в Clubhouse с 17 февраля, чтобы защитить пользователей от возможного мошенничества.


Clubhouse — быстро набирающая обороты социальная сеть по обмену голосовыми сообщениями. В марте 2020 года ее запустила Alpha Exploration, которую создали выходцы из Google Пол Дэвисон и Роэн Сет. Сейчас соцсеть оценивается в $1,4 млрд. Пока у Clubhouse есть только мобильное приложение для iOS. Зарегистрироваться на платформе можно по приглашению от кого-то из ее пользователей. Аудиочаты на платформе распределены по «комнатам» по интересам.


Всплеск популярности сервиса начался после того, как в нее вступили основатель Tesla и SpaceX Илон Маск и создатель Facebook Марк Цукерберг. К Clubhouse также присоединились Эштон Кутчер, Гвинет Пэлтроу, Пэрис Хилтон, Джаред Лето и другие звезды, а 14 февраля Илон Маск пригласил туда президента Владимира Путина. Сейчас в российском сегменте Clubhouse можно поговорить, например, с Олегом Тиньковым, главой «Яндекса» Тиграном Худавердяном и одним из основателей рунета Кириллом Готовцевым.


В Общественной палате уже

Для просмотра ссылки необходимо нажать Вход или Регистрация

Роскомнадзор и правоохранительные органы начать контролировать Clubhouse, поскольку новая соцсеть должна наряду с другими площадками исполнять российские законы и не допускать распространения экстремистского контента.
В частности, за отказ предоставить сведения для включения в реестр организаторов распространения информации Роскомнадзор может заблокировать соцсеть, как это, например, произошло с онлайн-рацией Zello.


Массовые упоминания о Clubhouse в социальных сетях в рунете появились в декабре. Еще 7 февраля ее российская аудитория, по данным App Annie, составляла всего 7,7 тыс. пользователей, хотя приложение уже

Для просмотра ссылки необходимо нажать Вход или Регистрация

первое место по количеству скачиваний в российском AppStore. Но в течение февраля средний объем обсуждений за неделю увеличился в 13 раз, рассказала директор по стратегии и аналитике Havas Media (входит в группу АДВ) Юлия Бельская. По ее словам, рост спровоцировала новость о том, что Facebook

Для просмотра ссылки необходимо нажать Вход или Регистрация

создать аналог Clubhouse.



Мошенники могут пользоваться невысокой осведомленностью пользователей о сервисе, считает эксперт по кибербезопасности «Лаборатории Касперского» Денис Легезо. По его словам, дефицита приглашений сейчас нет. Но есть более опасная угроза: в магазине приложений операционной системы Android появились фальшивые приложения Clubhouse. Они, по словам эксперта, могут в том числе отслеживать местоположение устройства, получать сообщения из мессенджеров или доступ к микрофону и камере на смартфоне. Приложения могут распространять и вредоносное ПО, добавляет основатель компании «Интернет-розыск» Игорь Бедеров.


Оригинальное приложение Clubhouse не запрашивает доступ к камере, фотографиям или местоположению, поясняют эксперты компании Avast.
Теоретически Clubhouse в фоновом режиме может использовать доступ к микрофону и контактам, но пока подтверждений нет, говорит эксперт по кибербезопасности Avast Кристофер Бадд. В Clubhouse уже обнаружена уязвимость, которая позволяет присоединяться к комнатам для разговоров анонимно и обходить элементы управления модератора, писало турецкое издание Log 27 января. Это, по словам господина Бадда, напоминает хакерские атаки во время видеоконференций в Zoom.


В более долгосрочной перспективе Clubhouse может способствовать росту числа мошенничеств с технологией синтеза аудио и видео для подделки речи, предупреждает ведущий аналитик «СерчИнформ» Леонид Чуриков. По его словам, до сих пор массовое распространение этого явления сдерживал недостаток материала (голоса и видео) для обучений нейросети. Clubhouse при должной популярности позволит закрыть дефицит, считает господин Чуриков.


Однако Денис Легезо сомневается, что угроза носит массовый характер. Если речь идет о знаменитостях, то в сети и так достаточно образцов их голоса, соглашается Кирилл Солодовников. В случае с обычными людьми риски, по его мнению, есть. Но, отмечает эксперт, мошенники уже многие годы обманывают людей по телефону от имени их родственников, не прибегая к подделке голоса.

 

[R1ck_C-137]

Приложение становится всё популярнее, но к его приватности всё больше вопросов.



В январе 2021 года Clubhouse начал набирать популярность в США и Европе, а потом и в России: по всему мире в нём зарегистрированы уже миллионы пользователей, в РФ — более ста тысяч. TJ рассказывает, какие данные собирает Clubhouse, куда они могут уходить и что опасного вокруг приватности в соцсети.

Разговоры в комнатах записывают. Официальное объяснение — для модерации

Многие ошибочно уверены, что общение в клабхаусе устроено по тому же принципу, что и общение вживую. В соцсети даже есть формальный запрет на запись разговоров. Согласно правилам, если сделать это без письменного разрешения всех участников беседы, то сервис может заблокировать аккаунт.


Уведомление о нарушении правил при попытке записи экрана

Но сервис может записывать разговоры в комнатах и хранить их какое-то время — об этом говорится в политике приватности. Создатели приложения утверждают, что эти данные нужны для безопасности, например, на случай террористических угроз, проявлений языка вражды или публикации персональных данных без согласия. Если жалоба не поступает, то сохранённая аудиозапись удаляется, заявляет сервис.

Как работает запись разговоров в клабхаусе и насколько долго хранятся данные, пока неизвестно. В условиях конфиденциальности есть слово «временно» — это может означать и несколько минут, и несколько лет. Немецкие и итальянские регуляторы уже потребовали публичных объяснений о том, как политики передачи данных сервиса сочетаются с европейскими законами о приватности.

Пока Clubhouse не замечен в спорных случаях сотрудничества с теми или иными властями. Но всё может измениться: в том числе поэтому лучше не обсуждать конфиденциальную информацию публично.

Clubhouse сканирует список контактов. Официальное объяснение — для раздачи приглашений

Одна из ключевых особенностей Clubhouse заключается в механике инвайтов и фокусе на социальном капитале. Пользователи соцсети могут видеть в том числе те комнаты, в которых участвуют или говорят те, на кого они подписаны — удобного поиска пока нет.

При установке приложение запрашивает разрешение на доступ к списку контактов, а потом предлагает пригласить всех из адресной книги — от коллег по работе до давних знакомых.



Авторы приложения объясняют необходимость сканирования контактов выдачей инвайтов. При этом для приглашения пользователей формально нужна не вся адресная книга, а лишь конкретный номер. Но если не дать соцсети доступ к телефонной книге, то она не позволит раздавать инвайты.

У многих в контактах есть не только друзья из реальной жизни, но ещё и коллеги, начальники, личные врачи или, к примеру, те, с кем они однажды сходили на свидание. У журналистов в телефонной книге есть ещё и источники информации, которым, вероятно, они гарантировали анонимность.

Когда пользователь клабхауса открывает доступ к номерам, он сообщает разработчикам: он каким-то образом связан с конкретными людьми, и они связаны с ним. Легко представить, как какому-нибудь пользователю приложение порекомендует тех, кого он в текущий момент реальной жизни предпочитает избегать.


Раздел с контактами из адресной книги, которых может пригласить пользователь клабхауса

Механика «приветствия» также небезопасна — она вытекает из доступа к телефонной книге. При регистрации нового пользователя Clubhouse присылает пуши его контактам и предлагает создать приватную комнату для приветствия.

Сам «новичок» может даже не заходить в «закрытый» чат. Но если на пуш-уведомление случайно нажмут другие пользователи, то они рискуют оказаться в неловкой ситуации: участники комнаты вполне могут не знать друг друга и не иметь желания знакомиться.

Clubhouse использует китайские наработки и передаёт ID пользователей в открытом вид

Пожалуй, больше всего вопросов к Clubhouse возникло, когда выяснилось, что авторы использовали наработки китайской компании Agora для передачи аудио в реальном времени. Исследователи из Стэнфордской интернет-обсерватории (SIO) обнаружили этот факт, впрочем, его даже не скрывали.

Специалисты проанализировали веб-трафик клабхауса публично доступными утилитами вроде Wireshark. Оказалось, что данные уходят напрямую на сервера, принадлежащие Agora: например, qos-america.agoralab.co. При присоединении к каналу приложение генерирует пакет метаданных, которые передаёт специально для бэкенд-инфраструктуры китайской компании.


Скриншот Стэнфордской интернет-обсерватории

В этой информации содержатся данные о каждом пользователе, включая уникальный ID профиля и комнаты, к которой он присоединился. Эти данные Clubhouse передаёт в открытом виде без шифрования: любой желающий фактически может отследить перемещение конкретного пользователя, «захватив» сеть, к которой тот подключен.

Agora — основанный в Шанхае стартап со штаб-квартирой в Кремниевой долине. Он продаёт другим компаниям доступ к платформе для обработки голоса и видео в реальном времени. Благодаря этому стартапам вроде Clubhouse не нужно создавать основу с нуля: команда может направить силы на другие задачи. Конечный пользователь зачастую может не знать, что приложение работает на платформе Agora, поскольку об этом не говорится в пользовательских соглашениях.

Так как Clubhouse при обработке аудио в реальном времени полагается на технологии Agora, исследователи предполагают, что китайская компания может получать доступ к несжатому аудиопотоку. Ведь в том числе через её сервера проходят все разговоры.

Главная опасность использования наработок Agora, по мнению экспертов из Стэнфорда, состоит в том, что компания обязалась подчиняться китайским законам. Если китайское правительство посчитает какой-то разговор опасным для национальной безопасности, компания позволит властям изучить запись.

В Agora уже заявили, что не хранят пользовательских данных, если не считать тех, что нужны для отслеживания сетевой активности. Компания утверждает, что она лишь «проводник», а её клиенты обычно шифруют данные.

В этом случае китайское правительство не сможет законным путём получить доступ к клабхаусу. Однако теоретически власти могут «вторгнуться» в сеть и сами записывать нужные разговоры, считают в SIO. Такой расклад, вероятнее всего, затронет китайских пользователей клабхауса, которые, несмотря на блокировку в стране, пользуются приложением.

Итог: безопасен ли Clubhouse

Учитывая, что клабхаус в ключевом аспекте работы полагается на платформу сторонней компании, передаёт данные в открытом виде без шифрования и записывает разговоры, соцсеть нельзя считать безопасной. Многое зависит от того, где хранятся аудиозаписи: если они находятся в США, то китайское или любое другое правительство не сможет получить доступ. Но это не снимает риски в отношении американских пользователей.

Представители Clubhouse в ответ на расследование SIO заявили, что отправляют на китайские сервера лишь небольшой процент данных о пользователях — чтобы обеспечить наименьшую задержку при разговорах. Авторы приложения пообещали прислушаться к рекомендациям специалистов и добавить «дополнительное шифрование». В сервисе пообещали больше не использовать китайские сервера и привлечь стороннюю фирму для оценки безопасности кода.

В публикации SIO говорится, что информация об Agora и передача данных в открытом виде — это не единственные проблемы с безопасностью клабхауса. О других слабых местах исследователи решили не сообщать публично до тех пор, пока их не исправят, но передали информацию разработчикам.